黑客发起大规模网络钓鱼攻击旨在绕过Gmail、雅虎的双因素认证

国际特赦组织发布了一份报告，详细说明威胁行为者如何能够绕过利用短信作为第二个因素的2FA身份验证。

攻击者正在利用这种策略大规模攻击入侵Gmail和雅虎帐户。

基于文本消息的2FA认证流程非常受欢迎，因为它们易于使用。

Amnesty International专家监测了几起针对中东和北非地区的个人凭据网络钓鱼行动。

在一起行动中，威胁行为者针对流行的安全电子邮件服务，如Tutanota和ProtonMail。

在另一起行动中，黑客攻击了数百个谷歌和雅虎账户，成功绕过常见形式的双因素身份验证。

Amnesty International报告称，在2017年和2018年期间，谷歌和雅虎用户遭到大规模网络钓鱼攻击。攻击者针对中东和北非地区的人权维护者和记者，他们收到的相同的可疑电子邮件。在对这些电子邮件进行调查后，专家们发现了长期大规模的鱼叉式网络钓鱼攻击行动，这些行动似乎来自阿拉伯联合酋长国、也门、埃及和巴勒斯坦。

攻击者使用琐碎复杂的社交工程技巧，利用常见的“安全警报”方案。受害者收到假警报，告知目标潜在的帐户泄密并要求他们紧急更改密码。

网络钓鱼邮件包含一个链接，将受害者重定向到精心设计且令人信服的Google钓鱼网站，该网站旨在诱骗受害者泄露两步验证码。

Amnesty International继续分析，

果然，我们配置的电话号码确实收到包含有效Google验证码的短信。在我们将凭据和两步验证码输入到网上诱骗页面后，我们会看到一个表单，要求我们重置帐户密码。对于大多数用户来说，Google提示更改密码非常类似公司联系的正当理由。 

威胁行为者能够自动化攻击并接管受害者的账户。

Amnesty International发布的分析报告包括了有关网络钓鱼攻击的其他信息，如IoC等。